Descubren vulnerabilidad crítica de RCE en la plataforma de Google Cloud que podría comprometer millones de servidores
Tenable, la empresa de gestión de exposición, ha revelado que su equipo de investigación, Tenable Research, ha descubierto una vulnerabilidad crítica de ejecución remota de código (RCE), denominada CloudImposer, que podría haber permitido a atacantes maliciosos ejecutar código en potencialmente millones de servidores de Google Cloud Platform (GCP) y los sistemas de sus clientes. Esta vulnerabilidad destaca una brecha de seguridad significativa en los servicios de Google Cloud, impactando específicamente App Engine, Cloud Function, y Cloud Composer.
El descubrimiento surge de un análisis profundo de la documentación tanto de GCP como de la Python Software Foundation, revelando que estos servicios eran vulnerables a un ataque a la cadena de suministro conocido como confusión de dependencias. Aunque esta técnica de ataque ha sido conocida durante varios años, la investigación de Tenable muestra una alarmante falta de conciencia y medidas preventivas en su contra, incluso entre proveedores tecnológicos importantes como Google.
Por qué es importante
Los ataques a la cadena de suministro en la nube pueden ser exponencialmente más dañinos que en entornos locales. Un solo paquete malicioso en un servicio en la nube puede propagarse a través de vastas redes, afectando a millones de usuarios. La vulnerabilidad CloudImposer demuestra las consecuencias de gran alcance de estos ataques, enfatizando la necesidad crítica de que tanto los proveedores de la nube como los clientes implementen medidas de seguridad robustas.
“El radio de impacto de CloudImposer es inmenso. Al descubrir y revelar esta vulnerabilidad, hemos cerrado una puerta importante que los atacantes podrían haber explotado a gran escala,” dijo Liv Matan, ingeniero de investigación sénior. “Compartir esta investigación aumenta la conciencia y profundiza el entendimiento de este tipo de vulnerabilidades, incrementando la probabilidad de que sean parcheadas o descubiertas antes; además, resalta conceptos más amplios que los usuarios de la nube deberían conocer para defenderse de riesgos similares y de la creciente superficie de ataque. Esta investigación empodera a la comunidad de seguridad y a los profesionales ofensivos para identificar vulnerabilidades y configuraciones erróneas similares.»
La seguridad en la nube requiere un esfuerzo colaborativo entre proveedores y clientes. Tenable insta a los usuarios de la nube a analizar sus entornos y revisar sus procesos de instalación de paquetes, en particular el argumento –extra-index-url en Python, para mitigar los riesgos de confusión de dependencias.
Tras la divulgación de Tenable, Google ha reconocido y solucionado el problema.
Les estaremos informando con mucho más detalle, en el marco del informe especial: “Soluciones de infraestructura de Data centers y edge computing, componentes activos (UPS, AAC, generadores, tableros eléctricos, PDU) y pasivos (cables, gabinetes, pisos, accesorios, conectores), ciberseguridad, seguridad (perimétrica y de data) y controles (cámaras, extinguidores de gas, tableros de acceso). Energia limpia: generadores solares de energía para Data centers. Equipamiento integral para y hacia la nube. Gestión de almacenamiento, respaldo y contenidos. Software de administración de infraestructura (servidores y redes de almacenamiento). Cableado y gestión de cableado estructurado. Buenas prácticas ambientales», que estamos preparando para nuestra edición 215 y publicaremos en el mes de noviembre.
Mantente conectado a nuestra revista Channel News Perú, haciendo clic aquí y suscribiéndote a nuestro newsletter para contenido de valor diario.
